A planilha de clientes foi parar no chat da IA
Segunda-feira, 8h. Na Casa Firme Materiais, uma loja hipotética de material de construção com 14 funcionários, a responsável pelo financeiro exporta do sistema a lista de quem está com boleto vencido: nome, CPF, telefone, valor e dias de atraso. Cola tudo num chat de IA gratuito e pede: "escreva uma mensagem de cobrança educada para cada um". Em dois minutos, 60 mensagens prontas. Ninguém na loja perguntou para onde foram aqueles 60 CPFs.
A cena não tem nada de exótico, e é por isso que ela é o melhor ponto de partida para falar de LGPD na pequena empresa. A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale desde 2020 para quem trata dado pessoal: qualquer informação que identifique uma pessoa, do CPF ao número de WhatsApp. Não importa o tamanho da empresa. O que mudou com a IA é a velocidade: o dado que antes ficava na planilha agora sai da empresa num copiar e colar.
E a maior parte das empresas ainda não fez nem o básico. A pesquisa TIC Empresas 2025, do Cetic.br, ouviu empresas brasileiras com 10 ou mais pessoas ocupadas (as que têm menos de 10 ficam fora da amostra). Entre as de 10 a 49 pessoas que guardam dados de pessoas físicas, só 13% têm inventário desses dados, 16% têm um canal para o titular — a pessoa a quem o dado se refere — pedir o que a lei garante, e 12% nomearam um encarregado, a pessoa que faz a ponte entre a empresa, os titulares e a ANPD, a Agência Nacional de Proteção de Dados.
13%
das empresas de 10 a 49 pessoas que guardam dados de pessoas físicas têm inventário desses dados (Cetic.br, TIC Empresas 2025)
16%
das mesmas empresas têm canal para o titular pedir acesso, correção ou exclusão
6 dias úteis
para o agente de pequeno porte comunicar à ANPD e ao titular um vazamento com risco relevante (o dobro dos 3 da regra geral)
2%
do faturamento no Brasil é o teto da multa simples, limitada a R$ 50 milhões por infração (LGPD, art. 52)
Auditoria, aqui, não é contratar um escritório para produzir um relatório de cem páginas. É sentar com uma lista e conferir, bloco por bloco, o que a empresa faz com os dados das pessoas — e, agora, o que a IA faz com eles. Este texto é esse roteiro.
Pequeno porte: o que a ANPD dispensa e o que continua valendo
A ANPD tem uma regra própria para os pequenos, que ela chama de agentes de tratamento de pequeno porte: a Resolução CD/ANPD nº 2/2022. (Desde a Lei 15.352/2026, a sigla quer dizer Agência, e não mais Autoridade, Nacional de Proteção de Dados.) Ela vale para MEI, microempresa, empresa de pequeno porte e startup, além de associações e outras entidades sem fins lucrativos e de pessoas físicas que tratam dados fora do uso particular, como um profissional autônomo.
A resolução alivia a burocracia, não a lei. Veja o que muda e o que fica. Base legal, que aparece na tabela, é a justificativa que a lei aceita para usar um dado.
| Tema | Para o agente de pequeno porte |
|---|---|
| Indicar um encarregado | Dispensado, mas é obrigatório manter um canal de comunicação com o titular. Indicar alguém conta como boa prática |
| Registro das operações com dados pessoais | Pode ser simplificado; a ANPD divulgou um modelo para isso |
| Política de segurança da informação | Pode ser simplificada, com medidas básicas |
| Prazos para responder titular, comunicar incidente e atender a ANPD | Em dobro |
| Ter base legal para cada uso de dado | Igual: não há dispensa |
| Atender os direitos do titular (acesso, correção, exclusão) | Igual, só com prazo em dobro |
| Comprovar o enquadramento | Em 15 dias, quando a ANPD pedir |
Há uma pegadinha que interessa a quem usa IA. A resolução tira do regime simplificado quem faz tratamento de alto risco, e alto risco exige dois critérios ao mesmo tempo (art. 4º). O geral: larga escala (muitas pessoas atingidas, considerando volume, duração e alcance geográfico) ou efeito significativo nos direitos das pessoas. O específico: tecnologia emergente ou inovadora, decisão só por meios automatizados (inclusive montar perfil de consumo ou de crédito), vigilância de área aberta ao público, ou dado sensível (saúde, biometria, religião e outros que explicamos adiante), de criança, adolescente ou idoso.
Uma loja que usa IA para escrever cobranças não está nesse lugar. Uma financeira pequena que deixa um sistema aprovar ou recusar crédito para milhares de pessoas pode estar. Também fica fora quem passa do teto de receita da empresa de pequeno porte da Lei Complementar 123 (ou, no caso da startup, do teto da Lei Complementar 182) ou pertence a um grupo econômico que, somado, passa desse limite.
Quem é quem: controlador, operador e quem responde
Antes de auditar, vale acertar três palavras da lei, porque elas decidem quem responde por quê:
- Controlador é quem decide para que e como o dado é usado. Na Casa Firme, é a própria loja.
- Operador é quem trata o dado em nome do controlador, seguindo as instruções dele (art. 39): o contador que roda a folha, o sistema de gestão na nuvem, a empresa de cobrança e, num plano contratado pela empresa, o fornecedor de IA pode ser operador. Se ele usa os dados para fins próprios, como treinar o modelo, passa a decidir sobre o dado, como controlador. No chat gratuito em conta pessoal, ele segue os próprios termos, não as instruções da empresa. A empresa perde o controle do dado, mas continua respondendo por tê-lo enviado.
- Encarregado é o canal de contato entre a empresa, os titulares e a ANPD. A Resolução CD/ANPD nº 18/2024 deixa claro que a responsabilidade pela conformidade é da empresa, não do encarregado: nomear alguém não transfere o problema.
O ponto prático: cada operador é uma porta por onde o dado sai. A auditoria precisa saber quais portas existem, o que passa por elas e o que o contrato de cada uma diz.
Fornecedor não dá selo de LGPD
É comum ler na página de um software que ele "é compatível com a LGPD". Conformidade com a lei é obrigação de quem trata o dado, não um selo que o fornecedor entrega. O que você confere no fornecedor é concreto: onde os dados ficam, se ele usa o que você envia para outros fins, como apaga quando o contrato acaba e o que o contrato diz sobre vazamento.
O roteiro da auditoria em seis blocos
A auditoria cabe numa lista. Comece pelo inventário, porque todo o resto depende dele.
A auditoria de LGPD em seis blocos
1. Inventário
Que dados pessoais a empresa coleta (clientes, funcionários, fornecedores), onde estão guardados e por quanto tempo
2. Finalidade e base legal
Para que cada dado serve e qual das dez bases do art. 7º justifica o uso
3. Transparência e canal
Política de privacidade publicada e um canal que funciona para o titular pedir acesso, correção ou exclusão
4. Segurança
Acesso só para quem precisa, senha individual, backup testado e papel guardado em local fechado
5. Terceiros e IA
Lista de operadores (contador, sistemas, IA), o que cada um recebe e o que o contrato diz
6. Incidentes
Quem decide, quem comunica, em que prazo, e o registro de todo incidente
O inventário é o bloco que quase ninguém tem, e é o que mais rende. Na Casa Firme, uma tarde de levantamento acharia algo como: cadastro de clientes no sistema de gestão, a lista de cobrança exportada em planilha, conversas no WhatsApp com nome, endereço e foto da obra, a folha de pagamento no contador, as fichas de admissão em papel, as imagens das câmeras da loja — e, desde o mês passado, as listas coladas no chat de IA. Para cada linha, três perguntas: o que é, onde fica, quando é apagado.
A LGPD pede o registro das operações (art. 37), e para o pequeno porte esse registro pode ser simplificado. O inventário da tarde já é a base dele.
Base legal: as dez portas e as que não abrem para dado sensível
Nenhum dado pessoal pode ser usado sem uma base legal, a justificativa que a lei aceita. O art. 7º lista dez, e consentimento é só uma delas — muitas empresas tratam o consentimento como a única porta e acabam pedindo autorização para o que a lei já permite, ou deixando de pedir onde ela exige.
As bases que mais aparecem na rotina de uma PME são o cumprimento de obrigação legal, a execução de contrato, o exercício de direitos em processo, a proteção do crédito, o legítimo interesse e o consentimento. Veja como elas costumam se encaixar no inventário da Casa Firme (é um ponto de partida para a conversa com o seu contador ou advogado, não um parecer):
| Uso do dado | Base que costuma se aplicar | Cuidado |
|---|---|---|
| Folha de pagamento, eSocial e nota fiscal | Obrigação legal | Guardar pelo prazo que a lei fiscal e trabalhista exige, e não além dele sem motivo |
| Cadastro do cliente para vender e entregar | Execução de contrato | Coletar só o que a venda e a entrega precisam |
| Cobrança e consulta de inadimplência | Proteção do crédito ou execução de contrato | Não serve para dado sensível |
| Câmeras na loja | Legítimo interesse (segurança) | Aviso visível e prazo curto de guarda das imagens |
| Mensagem de oferta no WhatsApp | Consentimento ou legítimo interesse, conforme o caso | O cliente precisa conseguir sair da lista com facilidade |
| Biometria no ponto ou na catraca | Dado sensível: só as hipóteses do art. 11 | Legítimo interesse e proteção do crédito não valem aqui |
O dado sensível — saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, vida sexual e dado genético — tem regra própria (art. 11): precisa de consentimento específico e destacado ou de uma das hipóteses em que o uso é indispensável, como cumprir obrigação legal ou prevenir fraude na identificação da pessoa. Uma ótica que guarda receita, uma clínica, uma academia com avaliação física e qualquer empresa com ponto biométrico estão nesse terreno.
Onde a IA entra na auditoria
O bloco 5 do roteiro ganhou peso com a IA, e vale olhar para ele com quatro perguntas.
1. O que a equipe cola na IA? Na Casa Firme, a lista de inadimplentes foi para um chat gratuito, aberto na conta pessoal da funcionária. A empresa não sabe o que o fornecedor faz com aquele texto, se guarda, por quanto tempo, se usa para melhorar o modelo. A regra prática da auditoria: dado pessoal de cliente só vai para ferramenta de IA contratada pela empresa, num plano cujos termos alguém leu; e, sempre que der, o pedido vai sem dado pessoal nenhum. A mensagem de cobrança sai igual com "[NOME]" e "[VALOR]" no lugar dos dados reais, e o CPF nem precisa ir; quem preenche é o sistema, na hora de enviar. Para montar a política de uso de IA da equipe, o caminho está em governança e compliance de IA.
2. Alguma decisão sai só da máquina? O art. 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas unicamente por tratamento automatizado que afetem os seus interesses — aprovar crédito, definir limite, descartar currículo, classificar cliente por risco — e de saber os critérios usados. O texto em vigor não obriga que a revisão seja feita por uma pessoa (esse trecho foi vetado em 2019), mas a empresa precisa conseguir explicar a decisão e reavaliá-la. A ANPD pôs a regulamentação dessa revisão na sua Agenda Regulatória 2025-2026, no item de inteligência artificial; até outubro de 2026, não havia norma publicada sobre isso.
3. A IA tira a empresa do regime simplificado? Só em combinação: tecnologia emergente ou decisão automatizada e larga escala ou efeito significativo nos direitos das pessoas. Uma ferramenta para redigir texto não basta. Um sistema que pontua milhares de clientes e decide sozinho quem recebe crédito pode bastar.
4. O contrato com o fornecedor de IA diz o quê? Onde o dado fica, se ele é usado para treinar o modelo, por quanto tempo é guardado e o que acontece num vazamento. Se o plano não responde a essas perguntas por escrito, ele não deveria receber dado de cliente.
A ANPD já agiu sobre IA
Em julho de 2024, a ANPD mandou suspender, como medida preventiva, o uso de dados de brasileiros para treinar a IA generativa de uma grande plataforma de redes sociais, com multa diária de R$ 50 mil em caso de descumprimento. Entre os indícios estavam base legal inadequada, falta de transparência e dados de crianças. Enquanto isso, o PL 2338/2023, o Marco Legal da IA, segue na Câmara: em outubro de 2026, aguarda parecer do relator na Comissão Especial. O texto aprovado pelo Senado põe a ANPD na coordenação do sistema de regulação de IA. Ou seja: para quem usa IA com dado pessoal, a regra que vale hoje é a LGPD.
Se você está configurando um agente de IA para atender cliente, o cuidado com o que ele pode ver e dizer começa na configuração; está em agente de IA que acerta.
Se der errado: o prazo é brasileiro, e a conta também
Vazamento não é só ataque hacker. É o notebook esquecido no carro, a planilha enviada para o cliente errado, o grupo de WhatsApp com a lista de inadimplentes. A Resolução CD/ANPD nº 15/2024 diz quando e como avisar.
A comunicação à ANPD e ao titular é obrigatória quando o incidente pode causar risco ou dano relevante, e isso também tem dois critérios cumulativos: afetar significativamente os direitos das pessoas e envolver pelo menos um destes — dado sensível, dado de criança, adolescente ou idoso, dado financeiro, senha e dado de autenticação, dado protegido por sigilo, ou larga escala.
O relógio do incidente (Resolução CD/ANPD 15/2024)
A empresa fica sabendo
O prazo conta de quando se sabe que o incidente atingiu dados pessoais, não de quando ele aconteceu
Comunicar a ANPD e o titular
Regra geral. Para o agente de pequeno porte, o prazo é em dobro: 6 dias úteis. À ANPD, pelo formulário eletrônico
Complementar a comunicação
Contados da primeira comunicação: o que não se sabia no primeiro aviso vai à ANPD depois. Para o agente de pequeno porte, 40 dias úteis
Guardar o registro
Todo incidente, inclusive o que não precisou ser comunicado, fica registrado por no mínimo cinco anos
Atenção ao número que circula: as famosas 72 horas são do regulamento europeu (GDPR), não da lei brasileira. Aqui, o prazo é em dias úteis. O passo a passo das primeiras horas depois de um ataque está em segurança digital para empresas.
E a conta? As sanções do art. 52 começam na advertência e incluem a multa simples de até 2% do faturamento no Brasil, sem os tributos, limitada a R$ 50 milhões por infração. Há ainda a multa diária, a publicação da infração, o bloqueio ou a eliminação dos dados e, nos casos mais duros, a suspensão ou a proibição do tratamento. A Resolução CD/ANPD nº 4/2023 define como a pena é escolhida e calculada: infração leve ou média, sem reincidência, tende à advertência; a multa costuma ir para a grave ou para quem não cumpre a correção que a ANPD mandou fazer. Quando a própria empresa interrompe a infração antes de a ANPD abrir procedimento preparatório (a apuração que vem antes do processo de punição), a multa pode ser reduzida em até 75%.
O dado mais útil para o dono de PME, porém, está na página de fiscalização da própria ANPD:
— Resumo da página de atividades fiscalizatórias da ANPD, consultada em 25/10/2026
Ou seja: responder à Agência no prazo é a primeira linha de defesa. A primeira empresa privada punida, em 2023, foi uma microempresa: multa de R$ 14,4 mil por usar dados sem base legal e por não atender à ANPD, além de advertência por não ter encarregado. Os fatos eram de 2020, antes de a Resolução 2/2022 dispensar o pequeno porte de indicar encarregado, e a ANPD julgou pela regra da época. Hoje a dispensa vale, mas o canal com o titular continua obrigatório.
Por onde começar na segunda-feira
Nada disso pede consultoria cara para começar. Pede uma tarde, uma planilha e alguém responsável.
Seis passos para a primeira auditoria
- Nomeie um responsável pela LGPD, mesmo que a lei dispense o encarregado, e publique um canal de contato (um e-mail basta) no site e na política de privacidade.
- Faça o inventário em uma tarde: liste cada lugar onde há dado pessoal, o que é, onde fica e quando é apagado.
- Escreva a base legal de cada linha e corte o que não tem justificativa.
- Faça a lista dos operadores — contador, sistemas, cobrança, IA — e leia o contrato de cada um: onde o dado fica, se é usado para outros fins (como treinar IA), por quanto tempo é guardado e o que acontece num vazamento.
- Proíba dado de cliente em conta pessoal de IA e troque o dado por campos como [NOME] e [VALOR] nos pedidos à ferramenta.
- Deixe escrito o que fazer num vazamento: quem decide, quem avisa, o prazo (6 dias úteis no pequeno porte, 3 na regra geral) e a planilha de registro.
Repita a auditoria uma vez por ano, ou sempre que entrar um sistema novo, uma ferramenta de IA nova ou um fornecedor novo que receba dados.
A auditoria cabe numa lista — e a lista já existe
A LGPD assusta pelo tamanho, mas a auditoria da pequena empresa é uma lista de perguntas que alguém responde com calma: que dados temos, por que temos, quem mais vê, como a pessoa fala com a gente, como protegemos e o que fazemos se der errado. A IA não criou essas perguntas; ela só fez o dado sair mais rápido, e por isso a auditoria passou a ter pressa.
No Gestão MVD, o módulo Checklists já traz o modelo Auditoria LGPD Básica, com cinco blocos: mapeamento de dados, base legal e consentimento, transparência e direitos do titular, segurança da informação (onde fica o plano de incidente) e terceiros. As perguntas de IA deste roteiro você acrescenta como itens próprios, porque o modelo pode ser clonado e adaptado. Com o módulo Planos de Ação, cada item marcado como não conforme abre uma não conformidade, e a auditoria termina com assinatura de quem respondeu. Os termos que pedem consentimento, como a autorização de uso de imagem com o direito de revogação, estão entre os modelos do MVDSign, para adaptar com o seu jurídico. Veja o checklist de auditoria LGPD para pequenas empresas e conheça o módulo de Checklists.
Conteúdo educativo e informativo; não é parecer jurídico. A aplicação da LGPD depende de cada caso: consulte um advogado ou o seu encarregado antes de decidir sobre base legal, contratos e incidentes. Fontes: Lei 13.709/2018 (LGPD), texto compilado no Planalto, arts. 5º, 7º, 11, 18 a 20, 37 a 41, 46, 48 e 52; Lei 15.352/2026 (ANPD como agência); Leis Complementares 123/2006 e 182/2021 (limites de receita do pequeno porte e da startup); Resoluções CD/ANPD nº 2/2022 (agentes de pequeno porte, com a redação da Resolução 15/2024), nº 4/2023 (dosimetria), nº 15/2024 (comunicação de incidente) e nº 18/2024 (encarregado); Voto nº 11/2024/DIR-MW/CD (medida preventiva sobre treinamento de IA, julho de 2024); Agenda Regulatória da ANPD 2025-2026 (Resolução 23/2024, alterada pela Resolução 31/2025); página de atividades fiscalizatórias da ANPD, consultada em 25/10/2026; primeira sanção a empresa privada: processo 00261.000489/2022-62, DOU de 06/07/2023, conforme Teletime (06/07/2023); ficha de tramitação do PL 2338/2023 na Câmara dos Deputados, consultada em 25/10/2026. Pesquisa TIC Empresas 2025, do Cetic.br/NIC.br, indicadores de privacidade e proteção de dados: empresas com 10 ou mais pessoas ocupadas; os percentuais citados têm como base as empresas de 10 a 49 pessoas que mantêm dados de pessoas físicas. A Casa Firme Materiais e as situações descritas são hipotéticas.
